На будущее настроить бекап, хотя бы системных файлов, настроек и т.д. чтобы было с чем сравнивать. что изменилось, что нового внеслось.
бекап **пу прикрывает во многих случаях.
в твоем случае попробовать посмтореть какие файлы во всей системе менялись за последние **цать дней, прошедших с момента компрометирования рута. решениение не полноценное (все файлы системы я так понял валидировать вручную нереально), работа будет дебильней некуда, но хотя бы попытка.
Зато теперь есть всеуниверсальная отмазка.
